🇰🇷 한글 설명
MyPHPDating의 success_story.php에서 발견된 SQL 인젝션 취약점으로, 원격 공격자가 인증 없이 id 매개변수를 통해 임의의 SQL 명령을 실행할 수 있습니다. 공격자는 이를 악용하여 데이터베이스의 민감한 정보를 탈취하거나 조작할 수 있습니다.
💡 쉬운 설명
MyPHPDating 데이트 소프트웨어의 검색 기능에 특수 문자를 입력하면 데이터베이스에 직접 명령을 실행할 수 있습니다. 이를 통해 개인정보 유출이나 시스템 손상이 발생할 수 있습니다.
🇺🇸 원문 (English)
SQL injection vulnerability in success_story.php in php Online Dating Software MyPHPDating allows remote attackers to execute arbitrary SQL commands via the id parameter.
📍 영향받는 시스템
MyPHPDating (2008년 및 이전 버전)
⚔️ 공격 벡터
success_story.php?id=1' OR '1'='1 형태의 SQL 구문을 id 매개변수에 주입
🛡️ 대응 방법
success_story.php의 id 매개변수에 대해 입력값 검증과 준비된 명령문(Prepared Statements) 또는 매개변수화된 쿼리 사용
🔧 검증 코드
파일이 발견되면 영향받는 버전이 설치되어 있고, 출력이 없으면 소프트웨어가 설치되지 않은 상태입니다.
find / -name 'success_story.php' 2>/dev/null | head -1